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摘 要 : 数据 可 恢复 性 证 明 方 案 可 以 有 效 解决 用 户 将 数据 存储 在 不 诚实 的 服务 器 上 时 ， 需 要 对 数据 的 完整 性 进行 验 
证 的 问题 。 针 对 目前 存在 的 大 部 分 方案 都 是 使 用 的 基于 身份 的 密码 体制 的 问题 ， 采 用 更 直观 灵活 的 基于 属性 的 密码 
体制 设计 了 基于 属性 的 数据 可 恢复 性 证 明 方 案 。 给 出 了 方案 的 相关 定义 、 安 全 模型 和 具体 的 构造 ， 同 时 证 明了 方案 
的 正确 性 和 安全 性 。 
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Attribute-based proof of retrievability with public verifiability 
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(1. School of Mathematics & Information Technology, Yuncheng University, Yuncheng Shanxi 044000, China; 2. Key 
Laboratory of Information Security, Guangzhou University, Guangzhou 510006, China) 


Abstract: When the user stores the data on an dishonest server, the integrity of the data needs to be verified, so the 
proof-of-retrievability (POR) system is proposed. Aiming at the problem of identity-based cryptosystem used in most of the 
existing solutions, a more intuitive and flexible attribute-based cryptosystem is adopted to design an attribute-based data 
recoverability proof scheme. This paper firstly proposed definition and model of an attribute-based proof of retrievability 
with public verifiability, then, constructed an attribute-based proof of retrievability with public verifiability, finally, proved 
its correctness and security. 
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0 引言 动态 可 公开 验证 的 数据 可 恢复 性 证 。 
前 存在 的 大 部 分 方案 都 是 使 用 的 基于 身份 的 密码 体 肯 

在 数据 外 包 存 储 服 务 中 ,如 何 使 数据 拥有 者 有 效 而 且 允 的 思想 ,本 文 考 虑 将 基于 属性 的 密码 体制 用 在 数据 可 恢复 性 
全 地 验证 存储 服务 器 是 否 正确 存储 了 他 们 的 数据 是 非常 重要 证 明 中 , 与 基于 身份 的 密码 体制 相 比 ,基于 属性 的 密码 体制 更 
的 。 为 了 解决 这 个 问题 ， Juels 等 人 叫 首 次 正式 地 提出 了 数据 ” 直观 。 例 如 ,从 签名 来 说 , 某 人 使 用 一 个 基于 身份 的 签名 对 消 
可 恢复 性 证 明 (proof of retrievability,POR) 的 概念 和 方案 。 在” 息 进行 签名 后 ,验证 者 可 以 证 实 该 消息 的 签名 确实 来 自 这 个 
数据 可 恢复 性 证 明 的 方案 中 , 存储 服务 器 必须 向 用 户 证 明 他 人 , 但 是 对 于 这 个 人 所 拥有 的 权限 和 社会 职能 却 一 无 所 知 ; 
门 确实 正确 存储 了 用 户 的 数据 ,并 且 让 用 户 确 信 他 可 以 恢复 。 而 基于 属性 的 签名 中 验证 者 可 以 检验 签名 是 否 为 相应 的 属性 
先前 存储 在 服务 器 上 的 文件 。 文 献 [1] 中 所 提 的 方案 中 , 通过 ”的 拥有 者 的 签名 ,所 以 可 以 知道 签名 者 的 权限 和 职能 ， 并 且 
将 一 个 伪装 块 隐藏 在 不 变 的 文件 块 中 来 发 现 服务 器 对 数据 的 ” 对 于 签名 者 的 身份 具有 匿名 性 。 如 果 用 现实 中 的 盖 章 来 说 明 
区 改 ， 同 时 这 个 方案 的 通信 代价 是 与 每 个 文件 块 中 元 素数 目 基于 身份 的 签名 与 基于 属性 的 签名 的 不 同 ， 则 基于 身份 的 签 
成 线性 关系 的 。 在 此 之 后 ,很 多 学 者 对 数据 可 恢复 性 证 明 的 方 名 就 像 是 盖 私 章 ， 而 基于 属性 的 签名 就 像 是 盖 公 章 ， 私 人 章 
案 进 行 了 研究 。 近 年 来 的 研究 成 果 主 要 有 : 文献 [2,3] 中 提出 “只 能 说 明 负责 人 是 谁 ， 而 公章 则 可 以 表明 颁发 此 签名 的 单位 
常数 通信 的 POR 方案 ， 朱 岩 等 人 外 在 交互 式 证 明 系 统 ”机 构 或 者 属性 。 在 实际 生活 中 ,公章 显然 比 签名 章 更 具 可 信 度 。 
的 标准 模型 下 提出 了 交互 式 可 恢复 性 证 明 的 形式 化 定义 ， 并 本 文 首次 提出 了 基于 属性 的 可 公开 验证 的 数据 可 恢复 性 
提出 了 一 个 实用 的 零 知 识 可 恢复 性 证 明 。 该 方案 在 证 明 方 案 的 的 定义 和 安全 模型 ,实现 了 基于 属性 的 可 公开 验 
Diffie-Hellman 假设 下 被 证 明 有 具有 完备 性 、 合 理性 和 零 知识 性 ， ”证 的 数据 可 恢复 性 证 明 方 案 的 构造 ,给 出 了 方案 的 正确 性 和 
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该 证 明 是 通过 建立 多 项 式 时 间 的 知识 提取 器 实现 的 ， 且 该 协 安全 性 证 明 。 在 本 文 的 方案 中 ,用 户 只 知道 文件 所 有 者 的 属性 ， 
议 只 需要 发 送 固定 大 小 的 数据 量 就 能 够 实现 承诺 、 挑 战 、 响 ”而 不 知道 关于 文件 所 有 者 的 任何 的 身份 信息 。 

应 过 程 ， 并 最 大 限度 地 减少 网 络 通信 。 因 此 ， 该 方案 可 用 于 1 ”预备 知识 

大 范围 分 布 存 储 系 统 中 实现 大 尺寸 文件 的 公共 远程 验证 。 文 向 

献 [5] 提 出 了 两 个 有 效 的 动态 的 数据 可 恢复 性 证 明 方 案 , 一 个 ”1.1 双 线 性 映射 

是 私有 验证 ， 一 个 可 以 公开 验证 。 文 献 [6~9] 分 别提 出 了 几 个 设 G , ,是 两 个 循环 乘法 群 ,G 、G: 的 阶 均 为 素数 9 。 设 
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录用 定稿 任 ， 燕 : 可 公开 验证 的 属性 基数 据 可 恢复 性 证 明 方 案 


组 成 : 
a)Setup 。 该 算法 的 输入 为 安全 参数 上 ， 输 出 为 系统 的 主 

公 钥 pk 和 主 私 钥 mk 。 
b)Keygen。 属 性 中 心 为 用 
c)Outsource。 外 包 存 

码 :， 输入 为 用 


LF 应 ,第 二 个 阶段 为 认证 标签 的 计算 : 输入 为 编码 文件 在， 


<GxG 一 G 为 一 个 双 线 性 映射 .假定 在 G ,G; 上 的 离散 对 数 
问题 (DLP 问题 ) 都 是 困难 的 , 则 双 线性 映射 满足 以 下 性 质 : 

a) 双 线性 性 。 对 任意 的 P,QLe G 和 所 有 的 ws2, ,有 
e(P“ ,0 )= e(P,0)" 

b) 非 退化 性 。 存 在 已 2sGi 使 得 <(P,O)#1。 

0o) 可 计算 性 。 对 于 P,Q8eG 存在 一 个 高 效 的 算法 计算 
e(P,O) 。 
1.2 拉 格 朗 日 插值 定理 

设 7 为 x 的 一 个 次 数 为 "的 多 项 式 f 的 函数 ,如 果 给 定 
多 项 式 a+1 个 不 同 点 G7(%) , 则 通过 式 (1) 能 唯一 确定 任意 一 
个 + 所 对 应 的 多 项 式 1() 值 : 


f= TT Ea) x) (1) 
i=] 1<k#i<n 


对 于 式 (1) 中 可 以 定义 拉 格 朗 日 系数 A ,其 中 ie2, ,和 
s 中 的 元 素 取 自 2,: 


人 人 
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A.W= TI a ) 
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1.3 本 方案 依赖 以 下 困难 性 问题 

a) 离 散 对 数 问题 (DLP)。 设 G 是 一 个 阶 为 素数 的 加 法 循 
环 群 ,对 P,Q eG ,不 存在 多 项 式 时 间 的 算法 可 以 以 不 可 忽略 的 
优势 计算 出 nez, ,使 得 P=ze。 

b) 双 线性 对 求 逆 问题 。 设 e 是 一 个 双 线 性 映射 ,G 是 一 个 
阶 为 素数 2 的 加 法 循环 群 ,对 PeG 和 a=e(P,9) ,不 存在 多 项 
式 时 间 的 算法 可 以 以 不 可 忽略 的 优势 计算 出 QeG。 

c) 计 算 Diffie-Hellman 问题 (CBDH)。 设 G 是 一 个 阶 为 素 
数 4 的 乘法 循环 群 ,对 w2sZ 和 (P,P",P')eG,, 不 存在 多 项 式 时 
间 的 算法 可 以 以 不 可 忽略 的 优势 计算 出 e(P,P)”。 


2 ”基于 属性 的 可 公开 验证 数据 可 恢复 性 证 明 方 案 
的 定义 和 安全 模型 
一 般 地 ， 一 个 基于 属性 的 可 公开 验证 的 数据 可 恢复 性 证 
明 方 案 有 三 个 参与 实体 : 数据 拥有 者 、 客 户 和 云 服务 提供 商 。 
数据 拥有 者 对 数据 进行 采集 ,为 了 提高 数据 的 鲁 棒 性 ,数据 
拥有 者 把 采集 到 的 数据 进行 纠 错 码 编码 ， 然 后 将 编码 后 的 数 
据 存储 到 云端 。 满 足 数据 拥有 者 指定 属性 的 客户 可 以 访问 编 
码 后 的 数据 并 对 数据 的 完整 性 进行 检验 .为 了 验证 数据 的 完 
整 性 ,客户 端 生 成 一 个 挑战 信息 并 把 它 发 送 给 云端 ， 然后 云 
端 对 客户 端 所 选择 的 文件 块 进行 计算 证 明 响应 。 收 到 证 明 后 ， 
客户 端 可 以 通过 验证 算法 验证 数据 的 完整 性 。 
2.1 基于 属性 的 可 公开 验证 的 数据 可 恢复 性 证 明 的 形式 化 
定义 
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prf 发 送 给 挑战 者 。 
d) Verify。 挑 战 者 运行 验证 算法 来 检验 prf . 
E 明 prf 且 挑 战 者 通过 
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户 所 选择 的 属性 集合 生成 密 钥 。 
渚 分 为 两 个 阶段 。 第 一 个 阶段 为 编 
文件 M 输出 一 个 大 小 为 7 的 编码 


d)Proof。 输入 为 系统 参数 、 断 言 r、 满 足 T(o) =1 的 含有 
于 合 5 cw 和 编码 后 的 文件 消息 万 ， 输 出 为 


e)Verify。 输 入 为 系统 参数 、 证 明 响 应 prf ， 该 算法 的 输 
出 为 accept 或 者 reject。 
.2 安全 模型 


性 的 可 公开 验证 的 数据 可 恢复 性 证 
明 方 案 的 安全 模型 ,与 文献 [11~13] 一 样本 文 认为 存储 服务 
提供 者 是 不 可 信 卓 


和 合理 性 。 


和， 要求 方案 必须 满足 正确 性 


如 上 定义 的 算法 (KeyGen,Outsource， 


F 算 法 都 输出 accept， 则 称 一 个 


验证 的 数据 可 恢复 性 证 明 方案 是 正确 的 。 


的 云 服 务 提供 者 可 以 生成 一 个 


FE 算法 相信 他 确实 正确 的 存储 了 
E 明 需要 的 龙 。 由 [10-12] 中 提出 的 
E 性 的 安全 模型 。 类 似 地 ， 本 文 给 出 下 面 的 游戏 。 

a) Setup。 挑 战 者 运行 Setup 算法 ,获得 公私 钥 对 (pk,sh)， 
并 将 pk 发 送 给 敌手 。 

b) Outsource 。 生性 


选择 一 个 文件 M ,将 它 发 送 给 挑战 


挑战 者 运行 Outsource 算法 ， 用 编码 的 文件 来 响应 龙 。 


或 信息 ， 并 将 它 发 送 给 敌手 ; 


首先 随机 生成 一 个 文人 


E 失 或 者 修改 文件 应 的 一 部 分 ,敌手 


E 意 的 算法 生成 一 个 证 明 prf ， 并 将 


手 可 以 对 文件 站 生成 的 订 
时 候 ， 本 文 称 敌 对 


若 对 任意 的 概率 多 项 式 


令 吕 是 可 能 的 属性 集合 ,2 上 的 一 个 断言 实际 上 是 一 个 
输入 为 关于 属性 @ 的 布尔 函数 。 当 T(6) =1 时 ， 本 文 称 属性 
合 cw。 满足 一 个 断言 T 。 方 案 的 主要 步骤 如 下 所 示 : 

算法 

setup 生成 主公 钥 和 主 密 钥 

keygen 生成 属性 集合 密 钥 

outsource 1、 编码 

2、 计 算 认 证 标签 

proof 用 户 发 起 挑战 时 服务 器 为 用 户 生成 

verify 用 户 验 证 文件 是 否 完整 保存 

综 上 ， 一 个 基于 属性 的 可 公开 验证 的 数据 可 恢复 性 证 明 
方案 语义 定义 如 下 : 

定义 1 形式 上 一 个 基于 属性 的 可 公开 验证 的 数据 可 恢 
复 性 证 明 方案 由 初始 化 算法 Setup、 密 钥 生 成 算法 Keygen、 
外 包 存 储 算法 Outsource、\ 证 明 算 法 Proof 和 验证 算法 Verify 


tt 


是 可 忽略 的 ， 则 称 
性 证 明 方 案 是 合 


可 公开 验证 的 基于 属性 的 可 恢复 性 证 明 方 案 


LE. 0 中 每 个 元 素 对 应 于 Z, 中 一 
整数 。 在 这 个 方案 中 文件 4 的 规模 是 任意 长 度 的 比特 
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赢得 游戏 。 


时 间 的 敌手 赢得 上 述 游戏 的 概率 


el 


假设 集合 U 中 有 /个 属 怕 


个 
串 。 


盟 性 的 可 公开 验证 的 数据 可 恢复 


fh 
Tawl®) = 其 他 


于 属性 的 可 公开 验证 的 数据 可 恢复 性 证 明 方 
， 它 支持 所 有 的 断言 。 特 别 地 ， 对 门限 值 有 
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以 下 几 步 完成 : 
性 集合 @ ,简单 起 见 令 思 =: 且 本 文 可 以 取 2 
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的 前 7 个 元 素来 做 为 这 个 集合 , 即 : 1,2,…， 
b) 设 G 是 阶 为 素数 > 的 乘法 循环 群 ,随机 选择 一 个 生成 


元 ssGi ,随机 选取 *sZ ， 


c) 随机 选择 一 个 长 度 为 的 应 
w 是 群 G, 中 的 元 素 且 n<1。 

则 公共 参数 为 :params =(g8,X,d, U)。 

主 密 钥 为 x 。 

2) 密 钥 生成 (key generation) 

按照 如 下 步骤 为 用 户 设 定 的 的 属性 集合 @ 生 成 私 钥 。 

a) 选择 一 个 d-1 阶 的 多 项 式 400 满足 9)=0。 

b) 对 每 个 iew 计算 : d=g'。 

c) 对 每 个 iew 输出 4d; 做 为 私 钥 。 

3) 外 包 存 储 

a) 给 定 一 个 数据 文件 M , 利用 纠 错 码 得 到 编码 后 的 文 
件 厄 。 

b) 将 编码 后 的 文件 龙 分 成 4 个 块 ,=(4,4,.…,4) 其 中 
Le{0,1} 。 

c) 对 每 个 数据 块 按照 如 下 的 步骤 完成 认证 标签 计算 : 


(a) 从 2 中 随机 选择 一 个 文件 名 name; 
(b) 随机 选取 的 一 个 值 se2,， 并 公开 8 ; 
(c) 计算 : oo=d Go 


属性 集合 。@ 的 一 个 子 集 , 且 |SMal>d ,4 为 客户 端 随机 选择 的 
一 个 数 ， 然 后 将 路 和 外 包 给 云 服务 器 存储 。 

4) 验证 挑战 (verify challenge) 

客户 端 为 了 验证 服务 器 是 否 正确 存储 了 文件 ,随机 选择 
属性 集合 U 的 a 个 元 素 的 子 集 5' 和 rezZ 并 将 它们 作为 挑战 
发 送 给 服务 器 。 

5) 证 明生 成 (ProofGen) 

服务 器 收 到 验证 挑战 后 计算 : c= LIc ， w= LIw . 则 生成 
的 证 明 prf =(o,w) .然后 服务 器 将 证 明 发 送 给 客户 端 

6) 验证 (verify) 

收 到 证 明 Pr 后 ,客户 端 首先 计算 : w=u**“*? ,7=T[7 ， 
然后 验证 如 下 等 式 是 否 成 立 来 验证 服务 器 是 否 正确 存储 了 文 
件 , 且 未 对 文件 进行 窗 改 : 

e(a,8)=e(01 ,8 )e(w ,8 )e(XS) 

4 ”正确 性 和 安全 性 分 析 


4.1 正确 性 分 析 
定理 1 方案 的 验证 过 


1(mod)p 。 


邻 X=g*。 


量 U = (Ws,) ,这 里 的 


主 


To ,这 里 ie{1,23…, 可 ,8 是 


[uy 


程 是 正确 的 。 


n 
e(a,8)=ed [cs)= 
多 1 
n n 
e([ ad S(O)7 CE maamae| "TI 2 人 9) 六 
il il 
n 
a te s)e(] I WE md 
il 


e(07 ,8 )e(W ,8 )e(X,g') 


证 明 
D)", g)e( [1 ), 8") = 


4.2 安全 性 分 析 
定理 2 本文 方案 中 的 证 明 prf 在 CBDH 假设 下 满足 
合理 性 , 即 它 是 不 可 伪造 的 。 
证 明 ”假设 一 个 概率 多 项 式 时 间 的 敌手 F 可 以 以 不 可 
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忽略 的 优势 赢得 合理 性 游戏 , 则 本 文 可 以 构建 一 个 算法 4 来 
解决 CDH 问题 。 即 算法 4 在 给 定 * 8 ,对 ,时 ,可 计算 出 
e(8,8) .具体 过 程 如 下 : 

1) 初 始 化 (Setup) 

F 输出 挑战 断言 , 即 1 个 元 素 的 属性 集合 
的 函数 . 令 g,=g*。 

2) 密 钥 生 成 (key generation) 

A 可 以 对 私 钥 进 行 查询 .按照 如 下 方式 模拟 生成 属性 。 
的 私 钥 : 


3) 随 机 选取 se2, 令 s=-y+s。 
b) 定 义 三 个 


ed 


若 ;sD 则 d=g" ,这 里 的 5 是 在 Z, 中 随机 选取 。 


w' 的 门限 为 a 


六 合 T=w Mw ,TT ,5= 广 Jv{0} ,这 里 TT 满足 


若 igT , 令 , 则 gq =g 


LAs (gD)+Ao.s(i)g(0) 
(JE 
. 


4q()= 3 Ajs(D)q()) + Ao.s (i)q(0) 


可 知 4 正确 模拟 了 私 钥 。 


EAjs (dq jtAos (dao) 
oo 


去 ; 
大 此 | ge =g" r 


3) 外 包 存 储 模 拟 

4 可 以 用 属性 集合 。 完 成 对 消息 m 的 外 包 存 储 。 

若 lonmw 4, 则 4 通过 如 下 过 程 模 拟 签名 : 

选择 随机 的 ssZ, ,按照 正常 的 方式 得 到 属性 集合 wo 对 消 
息 m 的 外 包 存 储 。 

若 4>ono k, 则 4 可 以 如 下 模拟 签名 : 
a 六 

4) 验 证 挑战 模拟 (verify challenge) 

客户 端 随机 选择 属性 集合 U 的 a 个 元 素 的 子 集 s" 和 
"eZ 并 将 它们 发 送 给 服务 器 。 

5) 证 明生 成 模拟 (ProofGen) 

服务 器 计算 ，c -TIor ,w=Tl 


Prf"=(o",W') .然后 将 证 明 发 送 给 客户 端 。 
验证 过 程 模拟 ; 


/xz H(nam 
Ci =& (u 


, 则 生成 的 证 明 


收 到 证 明 px" 后， 客户 端 首先 计算 : n=w ,n= 了 [7 
然后 如 下 等 式 成 立 : 
e(0',g)=e(17’,8')e(y",g')e(X, g’) 
这 里 prf'=(o',w )#prf =(o,Y) 
由 此 可 以 得 到 : 
e(0,8)=e(7',8')e(y',g8')e(X,g8') (1) 
e(0',g8)=e(7’,8')e(y",g')e(X,g’) (2) 


| 8)  e(w ,8 ) 
有 5 0',8) el(y”,g') 


] 式 (1) 除 以 式 (2) 和 
下 面 分 析 第 一 种 情 
车 oz#0o ,w=w ， 
则 : e(o,g)=e(o’', 8) 
e(a',8)=e(a,g)= ed [Tc ， 8)= 
ed a er Tu”), 8) = 
lI dr 08)e( Two) g)e( To )',8")= 


e(07 ;8 )e(W ,8 )e(X,g') 


NY 


即 


录用 定稿 任 ， 燕 : 可 公开 验证 的 属性 基数 据 可 恢复 性 证 明 方案 


于 y Wa ， 7, = WE ("amel) ,7 = [7 


e(a',8) 
e(01 ,8 )e(w 8 ) 


TY 


if 以 敌手 可 以 计算 el8",8)= 


而 *%7 对 于 敌手 是 保密 的 ， 所 以 敌手 可 以 解决 CBDH 
问题 。 

下 面 分 析 第 三 种 情形 

右 o=0 ,YAW 
则 e(W',8)=e(y, 8) 
即 e(Ww ,8 DJ)=e 8 DJ)=e( [u,”),8’) 


所 以 , 敌手 可 以 计算 e(T Tu“),g')=elw”,g') 


而 $7 对 于 敌手 是 保密 的 ， 所 以 敌手 可 以 解决 CBDH 问 
题 。 
下 面 分 析 第 三 种 情形 : 
若 o#0' ,Ww 
则 (0 8) ey ,8 ) 
e(0',g8g) elw",g8) 
el(0',g) = 8 )e(0,8) 
e(W ,8 ) 
即 e(W",8')el1',8')e(y',8')e(X,8) 
e(W ,8 ) 
e(01 ,8 )e(W ,8 )e(X 81) 
于 m= ,7=T [> 
FF = ,> c 二 e(0', 8) 
以 ,， 敌手 可 以 计算 : e(g*,8) 2 
而 *%r 对 于 敌手 是 保密 的 ， 所 以 敌手 可 以 解决 CBDH 
问题 。 
5 ”结束 语 


本 文 首次 将 基于 属性 的 签名 思想 用 在 数据 可 恢复 性 证 明 
中 ,提出 了 基于 属性 的 可 公开 验证 的 数据 可 恢复 性 证 明 方案 
的 的 定义 和 安全 模型 ,实现 了 基于 属性 的 可 公开 验证 的 数据 


可 恢复 性 证 明 方 案 的 构造 ,给 出 了 方案 的 正确 性 和 安全 性 证 
明 。 
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